Security Advisories
Reale, von turingpoint entdeckte und verantwortungsvoll offengelegte Schwachstellen in weit verbreiteter Open-Source- und Unternehmenssoftware.
Security Research
Veröffentlichte Advisories
turingpoint betreibt aktive Sicherheitsforschung an weit verbreiteter Open-Source- und Unternehmenssoftware. Viele dieser Schwachstellen entstehen direkt während Penetrationstests bei unseren Kunden. Die folgenden Funde wurden von uns identifiziert, im Rahmen einer koordinierten Offenlegung mit den Herstellern abgestimmt und nach Bereitstellung eines Patches als CVE veröffentlicht. Sicherheitsforschung made in Germany.
Sortieren nach:
Produkt
CVE
Schwachstelle
CVSS
Advisory
- Zammadnicht beantragt`CommonSelect.vue` maskiert das Autocomplete-Label nur, wenn es den Suchbegriff enthält, und `CommonSelectItem.vue` gibt es per `v-html` aus; ein anonym registrierter Vorname führt beim Suchen per E-Mail JavaScript beim Agenten aus8.6 · Hoch
- tinebeantragt`QuickLookHTMLPanel` bindet eine gespeicherte `text/html`-Datei in einen Rahmen gleicher Herkunft ohne `sandbox` ein; der Inline-Pfad verlangt nur `GRANT_READ` und sendet weder `nosniff` noch eine CSP, sodass das Skript den `jsonKey` des Opfers liest8.0 · Hoch
- tinebeantragtDer Export uebernimmt die Vorlage aus `options.template` und kompiliert sie in einer Twig-Umgebung ohne `SandboxExtension`; ueber das String-Callable-Muster in Twig 2 erreicht der Ausdruck `system()` als Anwendungsnutzer9.9 · Kritisch
- SOGobeantragtUnvollständiger Fix aus 5.12.10: Ort, Organisator, Antwortkommentar und zwei Attributwerte derselben Einladungskarte führen weiter Code in der Webmail-Sitzung aus9.6 · Kritisch
- Feathernicht beantragtBeliebiges Dateischreiben über den unbestätigten `feather://install/`-Deep-Link: die ungeprüfte Zip-Bibliothek lässt `../../`-Einträge `Documents/` und `Library/` überschreibenModerate
- AusweisAppCVE-2026-90848Reflected XSS über PAOS-Fehlermeldungen: Die `ResultMessage` eines bösartigen eID-Servers landet unmaskiert in der HTML-Fehlerseite des lokalen Aktivierungsdienstes und führt JavaScript im Origin `http://127.0.0.1:24727` aus5.3 · Mittel
- Mastodon iOSbeantragtOAuth-Bearer-Token des angemeldeten Kontos geht an einen angreiferkontrollierten Host, sobald die Teilen-Aktion "In Mastodon öffnen" eine gewöhnliche Webseite nicht als Mastodon-Objekt auflöst7.1 · Hoch
- Gardener Dashboardbeantragt`GET /auth/callback` liest State und PKCE-Pruefwert nur innerhalb von `if (cookie in req.cookies)`; fehlt das Cookie, entfaellt die Pruefung, und oauth4webapi deutet den undefinierten State als erwarte-keinen-State5.4 · Mittel
- VoidAuthbeantragt`POST /api/interaction/totp` fuehrt keinen Fehlversuchszaehler je Konto, und die einzige Ratenbremse haengt an `req.ip`, das wegen `trust proxy` dem selbst gesetzten `X-Forwarded-For` entspricht; der zweite Faktor faellt damit ungebremst6.8 · Mittel
- Rapid7 VelociraptorCVE-2026-85737Beliebiges Lesen von Serverdateien durch niedrig privilegierten Analysten über ungated `sql()`-VQL-Plugin (keine Berechtigungsprüfung, CA-Privatschlüssel offengelegt)6.5 · Mittel
- Easy!Appointmentsnicht beantragtDer Passwort-Reset-Link wird aus dem `Host`-Header gebaut, ein anonymer Angreifer lenkt ihn auf seinen Server und übernimmt nach einem Klick des Opfers das Administratorkonto7.5 · Hoch
- WazuhCVE-2026-74034Ein ohne Passwort angemeldeter Agent schleust einen `upgrade_custom`-Befehl in den Upgrade-Socket des Managers und laesst sich jede Datei des Hosts als root ausliefern (keine Herkunftspruefung, keine Pfadgrenze)7.5 · Hoch
- ChartbrewCVE-2026-85295Vollständige Kontoübernahme über JWTs, die mit dem statischen Standard-`CB_SECRET` signiert werden (vier Auth-Middlewares fallen auf den öffentlich bekannten Schlüssel `change_to_random_string` zurück)9.8 · Kritisch
- ChartbrewCVE-2026-85712Mandantenübergreifende Projektübernahme durch IDOR in `checkPermissions` (`team_id` aus dem JSON-Body statt aus der Projekt-Zugehörigkeit aufgelöst)8.8 · Hoch
- ChartbrewCVE-2026-85726Blinde NoSQL-Injection über nicht-escaped Datumsvariable in geteilten Charts (`applyMongoVariables` setzt `date`-Werte ohne Escaping in MongoDB-Query-Strings ein)7.5 · Hoch
- ChartbrewCVE-2026-85708Offenlegung privater Chart-Daten durch fälschbare Share-Tokens, die mit dem statischen Standard-`CB_SECRET` signiert werden (keine Sichtbarkeitsprüfung, Enumeration über Integer-IDs)7.5 · Hoch
- ChartbrewCVE-2026-85736Beliebige Dateilöschung als Root über SSL/SSH-Pfadfelder in Datenverbindungen (`removeConnection` ruft `fs.unlink` auf vier vom Nutzer kontrollierbare Pfade ohne Einschränkung auf)8.1 · Hoch
- Teablenicht beantragtStored XSS in In-App-Benachrichtigungen über den Anzeigenamen4.6 · Mittel
- ShopwarebeantragtDer Ruecksetzlink der Administration entsteht ueber den Symfony-Router aus dem Host der Anfrage, bei `trusted_hosts: ~` und einem anonym erreichbaren Endpunkt; die echte Mail an die Administration traegt damit die Domaene des Angreifers9.3 · Kritisch
- ProwlerCVE-2026-73263Remote Code Execution auf den geteilten Celery-Workern durch eine kubeconfig mit legacy `auth-provider` `cmd-path` (der Validator blockiert nur `exec`-Blöcke)9.9 · Kritisch